Tornado — это веб-фреймворк Python и асинхронная сетевая библиотека. В версиях Tornado до 6.5.5 единственным ограничением количества частей в multipart/form-data является настройка max_body_size (по умолчанию 100 МБ). Поскольку синтаксический анализ происходит синхронно в основном потоке, это создает возможность отказа в обслуживании из-за затрат на анализ очень больших составных тел со многими частями.
Эта уязвимость исправлена в версии 6.5.5.
Показать оригинальное описание (EN)
Tornado is a Python web framework and asynchronous networking library. In versions of Tornado prior to 6.5.5, the only limit on the number of parts in multipart/form-data is the max_body_size setting (default 100MB). Since parsing occurs synchronously on the main thread, this creates the possibility of denial-of-service due to the cost of parsing very large multipart bodies with many parts. This vulnerability is fixed in 6.5.5.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Tornadoweb Tornado
cpe:2.3:a:tornadoweb:tornado:*:*:*:*:*:*:*:*
|
— |
6.5.5
|